Ist SBF der Dieb der FTX-Gelder?

Stunden nach der Insolvenzerklärung von FTX wurden etwa 600 Millionen US-DarIn verschiedenen Krypto-Token unbefugt von den Konten der Börse bewegt, wobei der Großteil als von einem unbekannten Akteur gestohlen bestätigt wurde. Während der Exploit ein Rätsel bleibt, deuten Berichte und On-Chain-Informationen darauf hin, dass der Täter jemand in der Nähe der Börse sein könnte – möglicherweise Sam Bankman-Fried (SBF). 

Wer steckt hinter dem FTX-Konten-Diebwallet?

In einer Notmaßnahme, die am 17. November eingereicht wurde, warfen FTX-Anwälte Sam Bankman-Fried und FTX-Mitbegründer Gary Wang vor, unbefugt Gelder von der insolventen Börse unter der Direktive der bahamaischen Aufsichtsbehörde bewegt zu haben. Die Anwälte gaben an, Beweise dafür zu haben, dass die bahamaischen Regulierungsbehörden den „unbefugten Zugriff auf die Systeme der Schuldner zum Zweck des Erwerbs digitaler Vermögenswerte der Schuldner“ angeordnet hatten.

Die Wertpapieraufsichtsbehörde der Bahamas bestätigte, dass sie die Bewegung einiger digitaler Vermögenswerte anordnete, die von der lokalen Tochtergesellschaft der FTX-Börse, FTX Digital Markets (FDM), kontrolliert werden, an eine separate Adresse, die von der Kommission kontrolliert wird. Dies geschah am 12. November, einen Tag nach der Insolvenzerklärung von FTX, aber die Kommission erklärte, dass sie diese Notmaßnahme zur Sicherung der Vermögenswerte und zum Schutz der Interessen aller FDM-Kunden und Gläubiger erlassen hatte.

Zwar ist unklar, ob die von SBF und der bahamaischen Regulierungsbehörde bewegten Gelder Teil der größeren, von FTX gestohlenen 600 Millionen US-Dollar sind, aber On-Chain-Informationen deuten darauf hin, dass dies wahrscheinlich nicht der Fall ist, angesichts der ausgefeilten Methode, mit der die gestohlenen Kryptowährungen über Blockchains hinweg bewegt werden. Was jedoch offensichtlich bleibt, ist, dass die Ausnutzung von FTX ein „Insider-Job“ sein könnte.

Lookonchain erkannte eine Koordinierung im Handelsmuster zwischen der Hacker-Adresse von FTX, die derzeit auf Etherscan als „FTX Accounts Drainer“ markiert ist, und einer anderen Ethereum-Adresse „0xd275“, die an der Aneignung von Benutzerfonds beteiligt war, wie von einem ehemaligen Senior Engineer bei FTX, Vydamo, bestätigt.

Zwei Tage bevor FTX Auszahlungen aussetzte, begann 0xd275 mit groß angelegten ETH-Übertragungen on-chain, was laut Lookonchain seit der Erstellung der Adresse nie vorgekommen war. „Die Zeit stimmt mit dem Zeitpunkt überein, zu dem die FTX-Börse die Auszahlungen der Benutzer aussetzte“, sagte die On-Chain-Forschungsplattform. 

Am faszinierendsten ist die Korrelation zwischen den Adressen. 0xd275 würde Gelder an Börsen übertragen – wahrscheinlich um ETH zu shorten – einige Minuten bevor die FTX Accounts Drainer ETH abwarfen. 

Die Transaktionszeit von 0xd275 ist sehr konsistent mit dem FTX Accounts Drainer, es scheint, dass dieselbe Person operiert. Wenn 0xd275 mit dem Handel aufhört, beginnt der FTX Accounts Drainer mit dem Handel; und wenn der FTX Accounts Drainer mit dem Handel aufhört, setzt 0xd275 den Handel fort.

Lookonchain

Dieser Zufall deutet darauf hin, dass der Hacker oder jemand, der über die Aktivitäten des FTX Accounts Drainer informiert ist, auch die Kontrolle über 0xd275 haben könnte, was bereits als Eigentum von jemandem in der Nähe von FTX bestätigt wurde. Daher ist es plausibel, dass jeder von FTX – es könnte SBF sein – Gelder von der Börse abgezogen hat.

FTX-Hacker versucht, Gelder zu waschen

FTX wurde sowohl im Ethereum- als auch im Binance-Netzwerk geleert. In mehreren Transaktionen wurden alle gestohlenen Kryptowährungen über dezentrale Protokolle in Ether (ETH) getauscht, das sich in der Haupt-Ethereum-Geldbörse befand. Nach mehreren Umwandlungen und Asset-Bridges sammelte die Adresse etwa 288k ETH an, was den Hacker zum 35. größten Ethereum-Halter machte. 

In den letzten Tagen haben die Hacker jedoch begonnen, das gestohlene Ether wieder zu bridgen, diesmal jedoch zur Bitcoin-Blockchain, was als Versuch der Geldwäsche angesehen wird. Genau am 20. November bewegte der FTX Accounts Drainer 50k ETH zu einer einzigartigen Adresse 0x866E, die später in renBTC getauscht und zur Bitcoin-Blockchain gebridgt wurde.

Eine der BTC-Adressen – „Bc1qv…gpedg“ – die gebridgte Bitcoins vom FTX-Hacker erhielt, startete kurz nach dem Erhalt der Gelder eine Peel Chain. Laut CertiK ist eine Peel Chain „eine Geldwäschemethode, bei der BTC durch eine Reihe von Transaktionen gesendet wird, bei denen kleinere Beträge an eine neue Adresse übertragen werden.“

Am kürzlichsten am Montag übertrug der Hacker 180k ETH auf 12 neue Ethereum-Adressen, und jede Adresse hält derzeit 15k ETH. Die FTX Accounts Drainer-Geldbörse hat nur noch 5.735 ETH (oder 6,2 Millionen US-Dollar) übrig. Es wird spekuliert, dass die Hacker versuchen könnten, die Münzen zur Bitcoin-Blockchain zu bridgen, um eine weitere Peel Chain durchzuführen.